Passwortabfrage und Hacker-Tools?

[himitsu]

Eine Möglichkeit ist z.B. nach dem Kompilieren Funktionen und/oder wichtige Teile in der EXE zu verschlüsseln.
Nur mit dem richtigen Passwort werden sie richtig entschlüsselt und können auch nur dann ausgeführt werden.

Alternativ den "wichtigen" Code eben garnicht erst in der EXE zu haben.
* in "deiner" Cloud (WebServer)
* oder z.B. in einem HardwareKey (sicherer USB-Stick)

[Frickler]

Zitat von himitsu:

Alternativ den "wichtigen" Code eben garnicht erst in der EXE zu haben.
* in "deiner" Cloud (WebServer)
* oder z.B. in einem HardwareKey (sicherer USB-Stick)

Wenns wirklich wichtig ist, wird halt "Deine Cloud" gehackt. Oder die Kommunikation zwischen EXE und Cloud ausgeforscht. Der Hardwaredongle ist vermutlich die sicherste Bank.

[Rollo62]

Zitat von Frickler:

Der Hardwaredongle ist vermutlich die sicherste Bank.

Da bin ich auch nicht mehr ganz so sicher, ich denke das stimmt nur, wenn der Dongle Teile des Codes geschützt verarbeitet.
Denn ansonsten:

Delphi-Quellcode:

...

goto JumpHereToHackIt; //Einfach einen Sprung einfügen

if PrüfeDenTotalSuperSicherenDongle
              MitZertifikatUndPasswortUndVerschlüsselung_
              GarantiertUnknackbarUndNSASicher
then
    begin
      :JumpHereToHackIt;
        MacheDeineKritischenSachen.
    end;

[johndoe049]

Man sollte erst einmal feststellen, was zu schützen ist. Sind das Daten oder ist es das Programm an sich oder Teile davon. Danach kann man sich die Gefahr eines Hackers und entsprechende Gegenmaßnahmen überlegen.

Warum ist einfach zu erklären:
Wenn es Daten sind, dann kann man dass noch über Hash Prüfung über einen Datenbankserver prüfen. Ein Hacker würde dann eher versuchen, sich einen Zugang zur Datenbank zu schaffen oder sonst irgendwie an die Datenbank zu kommen oder diese zu kopieren. Was man dann im Programm als Hackerschutz und ausgeknobelelte Passwortsicherheit einfallen lässt ist dann trivial, da die Daten bzw. Datenbank das Angriffsziel ist. Außnahme wäre dann nur, wenn man die Daten mit ausgeknügelter Verschlüsselung speichert, dann wäre aber hier keine Frage, da man sowieso diese Thema berücksichtigt hat.

Anders, wenn da Programm, oder Teile davon, das wichtige ist. Beispielsweise ein Algorithmus, der Messungenauigkeiten oder Bildrauschen durch mehrfachte Interpolation mit Außreiser Reduktion verringert. Dann wäre die Programmausführung Passwortgeschützt. Die vorherigen Beispiele über Assembler Sprung nach der Passwortprüfung wäre für einen Hacker dann Standart. Da braucht man dann keine hochkomplizierte, super duper sichere Passwortabfrage. Ein Hacker umgeht den ganzen Kram per Sprunganweisung. Signatur des Programmes würde er löschen und nach "Anpassung" neu erstellen. Würde Windows wegen gültiger Signatur nicht mal Merken. Die Idee, den Programmhash per Resource einzubinden und zu prüfen bringt auch nix. Dass kann man auch per Sprung übergehen.
Was kann man dagegen machen: Genau drei "Hilfsansätze"
1. Den wichtigen Programmteil auf einen USB Dongle mit eigener Logik verlagern. D.h. Programmausführung und Kommunikation über eine HSM geschütze Hardware mit Ausleseschutz.
2. Programmdatei verschüsseln und nur in den Arbeitsspeicher mit dynamischer Speicherzuordnung entpacken. Dann reicht auch ein einfacher Hash Test für das Passwort. Ein richtiger Hacker, der den Programmcode haben will, friert den Rechner ein, ließt den Arbeitsspeicher aus und kann im Arbeitsspeicher ändern.
3. Wer so ein Programm auf einem PC mit Internetanschluss entwickelt braucht 1 und 2 nicht zu beachten. Ein Hacker versucht Zugriff auf den PC zu bekommen und holt sich direkt den Original Sourcecode. Ist weniger Arbeit für den Hacker und dürfte bei "Auftragsarbeit" auf kulerativer sein, da er direkt das komplette Entwicklungsprojekt hat.

Stellt sich daher erst einmal die Frage, was ist das wichtige. Programm oder Daten und könnte ein Hacker sich direkt den Sourcecode klauen, sofern diese so wichtig ist, dass die Ausführung Passwortgeschütz sein muss?

[Rollo62]

Zitat von johndoe049:

Ein Hacker umgeht den ganzen Kram per Sprunganweisung.

Ich habe mal in einem Projekt den Aufruf des kritischen Programmteils möglichst verschleiert.
Also Security by Obfuscation.

Zum Beispiel den Aufruf Random zeitversetzt, Aufrufe Random an mehrere Stellen verteilt, durch Berechnung erzeugtes Sprungziel, dynamische Sprungziele in Memory halten, App-Crash an mehreren Stellen verteilt, niemals detektierten Hack direkt reagieren,
immer zeitversetzt und/oder erst beim nächsten Start crashen usw., usw., usw.

Das alles zusammen macht es dem Angreifer nicht ganz so leicht, und es sieht für denUser wie ein "schlechtes",
crashendes Programm aus, wenn einer v ersucht das zu hacken.

Damit hält man die Hobbyhacker schonmal ganz gut davon ab weiterzumachen, aber am Ende für die Profis auch kein Problem,
nur mehr Aufwand.

[Frickler]

Zitat von Rollo62:

Zitat von Frickler:

Der Hardwaredongle ist vermutlich die sicherste Bank.

Da bin ich auch nicht mehr ganz so sicher, ich denke das stimmt nur, wenn der Dongle Teile des Codes geschützt verarbeitet.

Wenn sich Hardwaredongles derartig billig austricksen ließen, wären sie schon vor Jahrzehnten vom Markt verschwunden.

[TigerLilly]

Ich glaube, die Zeiten, wo gehackte Programme gehandelt und genutzt werden, sind überwiegend vorbei. Die Sorge, sich einen Virus einzuhandeln, sind hoffentlich zu groß. Jemand, der Software hackt , um sie selber zu verwenden dürfte auch eher die seltene Ausnahme sein und den Aufwand, das zu verhindern, auf Entwicklerseite nicht rechtfertigen. Wenn es um (Industrie)spionage geht sieht das anders aus. Aber da ist man auch mit anderen Maßnahmen zielsicherer: Zugangskontrollen etc etc.

Im Übrigen darf man den Nutzen geklauter Software nicht unterschätzen: Werbung!

[Gausi]

Zitat von TigerLilly:

Im Übrigen darf man den Nutzen geklauter Software nicht unterschätzen: Werbung!

Das kommt aber auch auf die Software an. Wenn es dem Entwickler (auch) darauf ankommt, Konkurrenzprodukte aus dem Markt zu drängen, indem die geklaute Software im privaten Bereich toleriert wird, damit der Druck auf Firmen steigt, dieses Produkt (und nicht ein anderes) einzusetzen, mag das eine sinnvolle Strategie sein.

Bei Nischen-Software für einen stark begrenzten Nutzerkreis ist ein halbwegs sicherer Kopierschutz aber wichtig, auch wenn dieser ggf. andere Probleme macht (Lizenzaktivierung etc. pp.). Witzig wird es dann gelegentlich, wenn Supportanfragen reinkommen, und bei der Frage nach dem Lizenzkey oder der Kundennummer rumgedruckst wird.

[TigerLilly]

Zitat von Gausi:

Witzig wird es dann gelegentlich, wenn Supportanfragen reinkommen, und bei der Frage nach dem Lizenzkey oder der Kundennummer rumgedruckst wird.

:- ) Ja, stimmt. Deshalb würde ich auch eher in Support und Kundennähe investieren als in Kopierschutz.

[johndoe049]

Zitat von Frickler:

Zitat von Rollo62:

Zitat von Frickler:

Der Hardwaredongle ist vermutlich die sicherste Bank.

Da bin ich auch nicht mehr ganz so sicher, ich denke das stimmt nur, wenn der Dongle Teile des Codes geschützt verarbeitet.

Wenn sich Hardwaredongles derartig billig austricksen ließen, wären sie schon vor Jahrzehnten vom Markt verschwunden.

Nicht vor Jahrzehnten. Bis vor ca. 5-10 Jahren gab es noch solche.

Such mal im Internet nach alten Einträgen mit Begriffen wie "Software Dongle", "Dongle Emulator", usw. Es gab einige "Billiganbieter", die kaum Sicherheitsfunktionen in einen Dongle einbauen, bzw. die API ohne Kommunikationsverschlüsselung hatten.

Billig nicht im Preis, sondern in der Implementierung.

Ob es heute noch solche Anbieter gibt kann ich nicht sagen. Der Anbieter, den wir nutzen ist für unsere Zwecke sicher genug.

Zitat von Gausi:

Zitat von TigerLilly:

Im Übrigen darf man den Nutzen geklauter Software nicht unterschätzen: Werbung!

Das kommt aber auch auf die Software an. Wenn es dem Entwickler (auch) darauf ankommt, Konkurrenzprodukte aus dem Markt zu drängen, indem die geklaute Software im privaten Bereich toleriert wird, damit der Druck auf Firmen steigt, dieses Produkt (und nicht ein anderes) einzusetzen, mag das eine sinnvolle Strategie sein.

Bei Nischen-Software für einen stark begrenzten Nutzerkreis ist ein halbwegs sicherer Kopierschutz aber wichtig, auch wenn dieser ggf. andere Probleme macht (Lizenzaktivierung etc. pp.). Witzig wird es dann gelegentlich, wenn Supportanfragen reinkommen, und bei der Frage nach dem Lizenzkey oder der Kundennummer rumgedruckst wird.

Das ist Mittlerweile übrigens auch ein Geschäftskonzept. Software ist Kostengünstig bis Kostenlos, nur für den Support oder individuelle Anpassungen muss man zahlen.